29 октября 2026 года Binance столкнулась с серьезным и крайне изощренным инцидентом безопасности. Этого не должно было произойти, и мы приносим извинения за беспокойство, перебои и неопределенность, которые это вызвало у наших пользователей, партнеров и отрасли в целом.

Наша главная обязанность — защищать пользователей. Binance возьмет на себя финансовые последствия кражи средств, а не наши пользователи. Мы уже зарезервировали более 100% средств, необходимых для покрытия убытков. По состоянию на 31 октября 2026 года было восстановлено 98 % затронутых токенизированных активов. Их можно проверить на нашей странице Подтверждение резервов (Proof of Reserves). В настоящее время мы работаем над приобретением оставшихся активов, ликвидность которых ниже.

В результате инцидента пострадали цифровые активы на сумму около 6,340 млрд USD. На момент публикации этого обновления заморожены или перехвачены цифровые активы на сумму около 2,850 млрд USD; окончательная сумма зависит от сверки данных и волатильности рыночных цен.

Мы незамедлительно приняли меры, чтобы локализовать инцидент и укрепить задействованные системы. Точки доступа, которые, как было установлено, использовались в атаке, закрыты. Системы, задействованные в цепочке атаки, были восстановлены или заменены. Кроме того, мы усилили контроль над устройствами, ужесточили меры управления рисками для сервисов кошельков и расширили обнаружение аномалий поведения на основе искусственного интеллекта (ИИ).

Это наш первоначальный отчёт. В нём изложено всё, что нам известно на данный момент, а также описаны уже принятые меры по улучшению защиты. Расследование продолжается, а наши выводы будут дополнительно проверены независимыми экспертами. Некоторые технические подробности останутся конфиденциальными, чтобы злоумышленники не могли использовать их для планирования атак. Мы сотрудничаем с независимыми компаниями, специализирующимися на безопасности, чтобы провести дополнительную проверку.

Последняя информация, опубликованная Федеральным бюро расследований США (ФБР), указывает на ответственность за этот инцидент Корейской Народно-Демократической Республики.

Мы публикуем этот первоначальный отчёт, потому что безопасность отрасли повышается, когда её участники учатся друг у друга и обмениваются знаниями.

Что произошло 29 октября

Атака быстро развивалась сразу в нескольких сетях.

Злоумышленник воспользовался несанкционированным доступом к внутреннему сервису подписи транзакций кошельков, чтобы инициировать операции в обход стандартного процесса вывода средств.

С 20:05 до 20:09 UTC пять горячих кошельков Binance отправили 233.46 млн XRP на адрес, контролируемый злоумышленником.

Горячие кошельки Binance в сетях Solana и Optimism отправили около 970,500 SOL и 44.2 млн OP на адреса, контролируемые злоумышленником.

Позже Binance получила внутреннее оповещение о переводах крупных сумм и незамедлительно начала расследование.

Горячий кошелёк Binance отправил 18,270 BTC на адрес, контролируемый злоумышленником.

Затем злоумышленник использовал сервис подписи, чтобы воспользоваться механизмом авторизации EIP-7702 в Ethereum. EIP-7702 позволяет учётной записи делегировать смарт-контракту определённые права на выполнение операций, не раскрывая приватный ключ. В данном случае злоумышленник использовал этот механизм, чтобы предоставить смарт-контракту под своим контролем частичные права на выполнение операций с горячим кошельком Binance.

Binance незамедлительно начала принимать различные меры по сдерживанию инцидента, включая приостановку выводов средств для ограничения их дальнейшего оттока, координацию с партнёрами для заморозки затронутых токенов и меры по отзыву несанкционированных разрешений. Благодаря этим усилиям удалось заморозить активы на общую сумму 2,850 млрд USD.

Однако одна лишь приостановка выводов средств не могла остановить все несанкционированные перемещения активов. Вредоносные разрешения EIP-7702 уже были зарегистрированы в блокчейне (on-chain) и действовали независимо от стандартной инфраструктуры Binance для вывода средств.

Злоумышленники отправили 50 транзакций подписи, чтобы манипулировать nonce учётной записи и установить вредоносные разрешения на делегирование. После установки эти разрешения позволили злоумышленникам продолжать переводить активы независимо от стандартной инфраструктуры Binance для вывода средств. Поэтому Binance пришлось выполнить дополнительные транзакции в блокчейне, чтобы отозвать эти разрешения.

Процесс сдерживания инцидента сопровождался дополнительными техническими сложностями. Поскольку горячий кошелёк использовал технологию многосторонних вычислений (MPC), не существовало единого приватного ключа, с помощью которого можно было бы немедленно отозвать вредоносные разрешения EIP-7702. Поэтому команда разработала и выполнила специальную процедуру отзыва этих разрешений, что потребовало дополнительного времени. Кроме того, приостановка выводов средств и отключение сервисов горячих кошельков не приводили к автоматической отмене уже существовавших разрешений в блокчейне.

Эти сложности увеличили время, необходимое для полной остановки несанкционированного перемещения активов. Мы пересматриваем процесс реагирования на инциденты, охват политик подписи и контроль горячих кошельков, а также определяем возможности для повышения нашей способности быстро реагировать на будущие угрозы.

Последний несанкционированный перевод на общую сумму 2,961.9 ETH был подтверждён в блокчейне в 23:56 UTC. Транзакция была отправлена ранее и некоторое время оставалась в ожидании подтверждения. После этой операции новых несанкционированных переводов обнаружено не было.

30 октября 2026 года в 00:10 UTC Binance выполнила новую авторизацию с горячего кошелька Binance14 на нулевой адрес, удалив код делегирования EIP-7702.

Подготовка атаки

Наше текущее расследование указывает на то, что это была сложная многоэтапная кампания. Это было не единичное вторжение и не простой случай фишинга. Злоумышленники применяли различные методы, включая социальную инженерию с использованием фиктивных собеседований, загрузку вредоносного ПО, взлом внутренних инструментов ИИ, компрометацию устройств и продвинутый метод авторизации транзакций.

Июнь 2026 года: атака на цепочку поставок программного обеспечения

Инженер A из команды DevOps кошельков скачал изменённую установочную версию Homebrew, чтобы установить популярный инструмент программирования на базе ИИ, найдя его через поисковую систему.

Наша команда безопасности обнаружила аномалию, заменила устройство и в качестве меры предосторожности обновила все связанные учётные данные. Однако компьютер инженера A и компьютеры его коллег, связанных с командой инфраструктуры кошельков, оказались доступны злоумышленнику.

В 2026 году команда безопасности Binance обнаружила и предотвратила 57 потенциальных киберугроз, связанных с Северной Кореей. Эти попытки отражают постоянную угрозу, которую представляют поддерживаемые государством злоумышленники для криптовалютной индустрии.

Среди использованных методов были фиктивные собеседования, вредоносное ПО, замаскированное под популярные инструменты для разработчиков, скомпрометированные программные пакеты и расширения браузера, поддельные приложения для видеоконференций, а также кампании социальной инженерии, направленные на кражу учётных данных или установку вредоносных программ удалённого доступа.

Сентябрь 2026 года: социальная инженерия

С инженером-программистом B связался через легальную платформу для поиска работы человек, выдававший себя за руководителя проектов. У инженера B был профиль на этой платформе, где упоминался его опыт работы в Binance.

Лже-руководитель проектов организовал первое собеседование с представителем отдела кадров, а затем второе — с человеком, который представился генеральным директором вымышленной компании.

Во время первого собеседования предполагаемый представитель отдела кадров провёл видеозвонок с инженером-программистом B. Чтобы завоевать доверие, интервьюер поделился с ним аккаунтом в социальной сети, где были опубликованы личные фотографии и видео. Этот метод был более изощрённым и обманным, чем ранее наблюдавшиеся методы социальной инженерии.

Второе собеседование прошло в популярном приложении для обмена сообщениями. Ближе к концу собеседования инженеру B предложили скачать на рабочий компьютер «тестовое задание», содержавшее вредоносный репозиторий кода. В репозитории находился вредоносный код, который запускался во время настройки и инициировал ряд несанкционированных действий.

Вредоносное ПО использовало сложные методы обфускации и обхода защиты, в том числе замену легитимного компонента инструмента разработки вредоносной версией, чтобы выполнять команды и устанавливать связь с внешним сервером, контролируемым злоумышленником.

На тот момент средства защиты устройств не обнаружили вредоносное ПО нулевого дня (zero-day). Злоумышленник также принял меры, чтобы скрыть вредоносную активность и стереть следы вторжения, что затруднило его обнаружение и последующее расследование.

Скрипт выполнил следующие действия, используя методы обфускации для обхода средств обнаружения угроз:

текст

CREATE  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

MODIFY  pyenv_ → 3,414 B

DELETE  .../libexec/pyenv  (3,344 B)
        ← удалить легитимный файл pyenv

RENAME  pyenv_ → pyenv  (3,414 B)
        ← заменить его вредоносной версией

DELETE  /opt/homebrew/bin/pyenv  (3,414 B)

ln  (создать новую символическую ссылку)  +  spawn zsh

20 октября 2026 года: использование внутреннего инструмента ИИ для проникновения в систему

Злоумышленник воспользовался скомпрометированным компьютером инженера B и внутренним инструментом ИИ, чтобы получить контроль над инженером A из команды DevOps кошельков и ещё одним инженером-программистом из команды кошельков, обозначенным как инженер C.

Вскоре после этого злоумышленник обнаружил на компьютере инженера A токен с правами на развёртывание контейнеров.

29 октября 2026 года: доступ к операциям подписи кошельков

29 октября с 17:15 до 19:56 UTC злоумышленник вошёл в компьютер инженера-программиста C, воспользовался учётными данными, украденными у инженера A из команды DevOps кошельков, развернул контейнер и выполнил вредоносный скрипт, запустив атаку.

Принятые меры

По состоянию на 3 ноября 2026 года мы предприняли следующие действия:

• Мы воссоздали затронутую систему кошельков в новой среде.

• Мы восстановили затронутый внутренний инструмент ИИ и усилили контроль доступа к нему.

• Мы заменили затронутые устройства.

• Мы отключили учётные данные и токены, связанные с пострадавшими инженерами.

• Мы провели углублённый анализ безопасности устройств всех сотрудников.

• Мы улучшили обнаружение аномалий поведения на основе ИИ.

• Мы ужесточили меры управления рисками для сервисов кошельков.

• Мы сотрудничаем с правоохранительными органами, компаниями, занимающимися анализом блокчейнов, и отраслевыми партнёрами, чтобы отслеживать и замораживать затронутые активы.

По мере развития расследования мы будем продолжать усиливать наши меры защиты. Мы внедрили и продолжаем внедрять различные меры безопасности, которые останутся конфиденциальными, чтобы злоумышленники не могли использовать эту информацию для компрометации наших систем.

Дальнейшие действия

Мы незамедлительно принимаем следующие меры:

1. Независимая проверка кибербезопасности

Мы привлекаем независимых экспертов по кибербезопасности для всестороннего анализа инцидента, проверки наших выводов и рекомендаций по дополнительным мерам.

Результаты и охват этой проверки станут основой для дальнейшего устранения недостатков и совершенствования наших систем.

2. Увеличение инвестиций в безопасность и предотвращение угроз с помощью ИИ

Мы увеличиваем инвестиции в обнаружение угроз на основе искусственного интеллекта, защиту устройств, безопасность сред разработки и мониторинг аномалий поведения.

3. Фонд исследований в области безопасности и отраслевые инициативы

Мы работаем над созданием фонда исследований в области безопасности и разработкой целевых инициатив совместно с ведущими компаниями в сфере ИИ, представителями отрасли и специализированными компаниями по безопасности, уделяя особое внимание безопасности ИИ в блокчейн-средах.

Мы продолжим заблаговременно делиться информацией по мере её поступления.